Эксперты компании ESET раскрыли детали расследования деятельности кибергруппы Carbanak. Наряду с другими инструментами группа активно использовала вредоносные программы семейства Win32/Spy.Agent.ORM, отмеченные в атаках на пользователей из России и Украины.
Повышенная активность семейства Spy.Agent.ORM была зафиксирована в начале лета текущего года. Вредоносы распространялись с помощью набора эксплойтов через скомпрометированный новостной портал rbc.ua и банковский сайт unicredit.ua, а также в фишинговых рассылках, ориентированных на сотрудников финансовых учреждений из России, Украины и Армении. Пользователям рассылались сообщения с вредоносными вложениями SCR-файлов или RTF-эксплойтов к уязвимостям Microsoft Office, включая CVE-2015-1770.
Троянец Win32/Spy.Agent.ORM открывал атакующим удаленный доступ к компьютеру жертвы. Вредоносная программа подключалась к управляющему серверу и выполняла различные команды: сделать снимок экрана, получить список запущенных процессов, собрать информацию о системе, загрузить исполняемый файл и др.
На связь троянца Spy.Agent.ORM и Carbanak указывают одинаковые фрагменты кода, которые встречаются в других вредоносных программах группы: «фирменном» инструменте Win32/Spy.Sekur и бэкдоре для кражи данных карт с PoS-терминалов Win32/Wemosis, замеченным в кибератаках на американские отели-казино. Все вышеуказанные вредоносы подписаны одним и тем же цифровым сертификатом, зарегистрированным на московскую компанию Blik. Один из новейших образцов троянца Spy.Agent.ORM, обнаруженных специалистами ESET, подписан цифровым сертификатом киевской компании In Travel.